Hardwarehersteller Lenovo meldet Sicherheitslücken im BIOS seiner PC-Modelle. Nach Angaben des Herstellers kann darüber Schadcode ausgeführt werden.
Betroffen sind laut der Auflistung der einzelnen Geräte von Lenovo die nahezu gesamte Rechnerpalette. Der Anbieter stuft das Risiko der Lücken als hoch ein. Insgesamt seien es fünf Sicherheitsprobleme, so Lenovo. Nicht alle Geräte seien aber von allen Lücken betroffen.
Um die Lücken auszunutzen brauchen Angreifer laut Lenovo lokalen Zugang zu den Rechnern mit nicht genauer beschriebenen erweiterten Rechten, was die Gefährdung abmildert. Gelingt der Zugang, ist in einem Fall das Ausführen von Code möglich. Andere Lücken ermöglichen etwa den Zugriff auf den System-Management-Mode-Speicher (SMM) und damit unter Umständen auch auf das Betriebssystem.
Von der Lücke zum Ausführen von Code (CVE-2021-28216) ist TianoCore EDK II betroffen. Dieser quelloffene UEFI-Code werde in der gesamten Industrie in allen modernen Computern verwendet schreibt Lenovo. Im Bugzilla des betroffenen Projekts heißt es , dass für einen erfolgreichen Angriff ein Angreifer bereits das SMM kompromittiert oder UEFI Secure Boot umgangen haben müsse, um bei letzterem die Attributprüfung zu umgehen.
Lenovo erläutert in seiner Warnmeldung wie vorzugehen ist. Außerdem enthält sie eine Tabelle mit betroffenen Geräten und den abgesicherten Firmware-Versionen dafür.
Da bin ich ja froh das meine ThinkPads T420 & T530 nicht betroffen sind.
Das jemand Zugriff auf meine Hardware hat dem ich nicht vertraue wird nicht passieren so das dieses Problem keines mehr ist.
Aber auch das BIOS ist durch Passwort zusätzlich geschützt, so das auch bei Verlust der Geräte noch eine große Hürde besteht.
Aber damit nicht genug, ist das komplette System noch verschlüsselt.
Insgesamt kann ich die Einstufung als “hoch” nicht nachvollziehen, denn es war ja schon immer leichter in ein System einzudringen wenn man Hardwarezugriff hat.